KI-Illustration · Symbolbild
Gitea 28.3.0 behebt mehrere Sicherheitslücken in der selbst betriebenen Entwicklungsplattform. Das Projekt empfiehlt seit dem 1. November ein zeitnahes Update. Betroffen sind unter anderem die Kontoverknüpfung über externe Anmeldedienste, eingeschränkte Zugriffstoken und automatische Entwicklungsabläufe.
Kontenübernahme hängt von der Konfiguration ab
Besonders relevant ist die Kombination aus offener Registrierung und der OAuth2-Einstellung ACCOUNT_LINKING = auto. Unter diesen Voraussetzungen konnte eine externe Anmeldung mit einem fremden vorhandenen Gitea-Konto verknüpft werden. Ein Angreifer brauchte dessen Passwort dafür nicht. Auch Administratorkonten waren betroffen.
Der öffentliche Sicherheitshinweis nennt Versionen bis einschließlich 28.2.0 als betroffen und 28.3.0 als korrigiert. Die automatische Kontoverknüpfung ist ausdrücklich keine Standardeinstellung. Deshalb lässt sich diese konkrete Kontenübernahme nicht pauschal auf jede Installation übertragen.
Auch eingeschränkte Token bekamen zu viele Rechte
Weitere Korrekturen betreffen Token, die eigentlich auf öffentliche Inhalte beschränkt sind. Bei bestimmten Verwaltungs- und Paketfunktionen wurden diese Grenzen nicht zuverlässig berücksichtigt. Außerdem konnte ein Fehler bei durch Reviews ausgelösten Workflows unter bestimmten Bedingungen Zugriff auf Geheimnisse des Repositorys und ein schreibberechtigtes Token ermöglichen.
Unsere Einordnung: Zugriffsschutz muss durchgängig gelten
Für Betreiber ist das Update auch dann relevant, wenn sie keine automatische Kontoverknüpfung verwenden. Ein eingeschränktes Token schützt nur, wenn sämtliche angesprochenen Funktionen seine Grenzen beachten. Die aktuelle Version und die tatsächlich genutzten Anmelde- und Automatisierungsfunktionen gehören deshalb gemeinsam in die Prüfung.
Wie bei der jüngsten Linux-Sicherheitsmeldung entscheidet der konkrete Patchstand über die technische Einordnung.
Quelle und Stand
Recherchiert am 2. November 2026. Veröffentlichung und öffentliche Sicherheitsmeldung stammen vom 1. November 2026.
